**DNS (Domain Name System，域名系統)** 是互聯網的「電話簿」：**將人類易記的域名 (如 www.baidu.com) 轉換為機器可路由的 IP 地址 (如 110.242.68.66)**。沒有 DNS，我們得背誦每個網站的 IP 才能上網。

核心流程：一次完整的 DNS 查詢 (遞歸 + 迭代)

1. 用戶輸入域名，瀏覽器/系統 Stub Resolver 發起查詢。
2. 本地 DNS 緩存：瀏覽器緩存 → 系統緩存 (hosts 文件、DNS Client 服務) → 路由器緩存 → ISP 遞歸解析器緩存。**命中即返回，毫秒級**。
3. 遞歸解析器 (Recursive Resolver) 未命中 → 代表客戶端向根域名服務器發起迭代查詢：
   • 根服務器 (13 組邏輯集群，Anycast 部署) → 返回頂級域 (TLD) 服務器 IP (如 .com)。
   • TLD 服務器 (Verisign 運營 .com/.net) → 返回權威域名服務器 IP (如 `ns1.baidu.com`)。
   • 權威服務器 (域名持有者/托管商控制) → 返回最終記錄 (A/AAAA/CNAME/MX/TXT/NS 等)。
4. 遞歸解析器緩存結果 (TTL 內) → 返回給客戶端。
5. 客戶端緩存 → 建立 TCP/TLS 連接。

常見資源記錄 (RR) 類型速查

類型	用途	示例值
A	IPv4 地址	110.242.68.66
AAAA	IPv6 地址	2400:da00::6666
CNAME	別名/規範名稱 (指向另一域名)	www.baidu.com → www.a.shifen.com
MX	郵件交換器 (優先級 + 域名)	10 mx1.qq.com
TXT	文本信息 (SPF/DKIM/DMARC/驗證)	"v=spf1 include:_spf.google.com ~all"
NS	授權域名服務器	ns1.dnspod.net
SOA	授權起始機構 (區域元數據)	序列號、刷新間隔、TTL...
PTR	反向解析 (IP → 域名)	66.68.242.110.in-addr.arpa → www.baidu.com
SRV	服務定位 (協議/端口/權重/目標)	_sip._tcp.example.com
CAA	證書頒發授權 (限制 CA 簽發)	0 issue "letsencrypt.org"

實用排查工具與命令

• nslookup (Win/Linux/Mac 內建)：nslookup www.baidu.com 8.8.8.8 指定解析器查詢。
• dig (Linux/Mac/Win 安裝 bind-utils)：**專業級調試神器**
  dig +trace www.baidu.com 顯示完整遞歸鏈路
  dig @8.8.8.8 www.baidu.com +dnssec 驗證 DNSSEC
  dig +short TXT _dmarc.google.com 查 DMARC 記錄
• Resolve-DnsName (PowerShell)：**原生物件化輸出**，管道處理極便利。
  Resolve-DnsName -Name www.baidu.com -Server 8.8.8.8 -DnssecOk
• 在線可視化：DNS Checker (全球節點即時解析) / What's My DNS / Google Dig。

本地 hosts 文件：最高優先級的靜態映射

• 位置：C:\Windows\System32\drivers\etc\hosts (Win) / /etc/hosts (Linux/Mac)。
• 格式：IP 域名 [別名...]，如 127.0.0.1 localhost。
• 作用：開發測試/屏蔽廣告追蹤/強制解析/繞過 DNS 劫持。**優先於任何 DNS 查詢**。

常見故障現象與排查邏輯

現象	可能原因	排查步驟
網頁打不開/解析失敗 (DNS_PROBE_FINISHED_NXDOMAIN)	域名未註冊/過期/權威服務器掛了/本地 DNS 故障/劫持	1. 換公共 DNS (8.8.8.8/1.1.1.1/223.5.5.5) 2. dig +trace 定位斷點 3. 檢查 hosts 4. 聯繫域名商
解析到錯誤 IP (劫持/污染)	ISP 劫持/路由器 DNS 劫持/惡意軟件修改 hosts/緩存投毒	1. DoH/DoT 加密 2. 刷新緩存 (ipconfig /flushdns) 3. 檢查路由器 DNS 設置 4. 掃毒
部分地區/運營商訪問慢	CDN 調度失效/跨網訪問/權威服務器海外/ECS 缺失	1. 智能分流 DNS 2. 攜程/阿里云/騰訊云 DNS 付費版 (支援 ECS/健康檢查) 3. Anycast 權威 DNS
郵件收發失敗	MX/SPF/DKIM/DMARC 記錄錯誤/缺失/傳播未生效	dig MX/TXT 驗證、郵件服務商診斷工具 (MXToolbox)

現代演進：加密 DNS (DoH/DoT/DoQ) 與 DNSSEC

• DoH (DNS over HTTPS, RFC 8484)：HTTP/2/3 承載 DNS，端口 443，難以攔截/審計，瀏覽器/系統原生支援。
• DoT (DNS over TLS, RFC 7858)：TLS 直接承載 DNS，端口 853，系統解析器 (systemd-resolved/Windows 11/Android 9+) 原生支援。
• DoQ (DNS over QUIC, RFC 9250)：QUIC 承載，0-RTT、多路復用、抗丟包，新興標準。
• DNSSEC：數字簽名驗證解析鏈路真實性，防緩存投毒，**需域名持有者簽名區域 + 解析器驗證** 雙向生效。

DNS 是互聯網隱形基石，看不見摸不著，卻決定著每一次連接的成敗。理解其原理，善用工具，才能在排查網絡疑難雜症時游刃有餘。